Ứng dụng Popcorn Time bỏ hoang buộc phải bị vô hiệu hóa để chặn thảm họa botnet

Bạn có còn nhớ Popcorn Time, ứng dụng từng đóng vai trò là giao diện dễ sử dụng để phát trực tuyến các tệp torrent phim ảnh và chương trình truyền hình? Quá trình phát triển ứng dụng từng khiến MPAA đau đầu nhất trong thập niên 2010 này đã bị bỏ hoang từ nhiều năm trước, nhưng phần mềm được mệnh danh là Netflix vi phạm bản quyền này vẫn được cài đặt trên hàng triệu thiết bị đang chờ để gia nhập vào một đội quân bot. Các nhà nghiên cứu tại Eye Security đã phát hiện ra trình cập nhật của một nhánh rẽ Popcorn Time mang tên Time4Popcorn vẫn đang chạy trên vô số thiết bị Windows, macOS và Android nằm rải rác trên khắp thế giới. Chúng liên tục gửi tín hiệu về các tên miền web giờ đây đã bị bỏ hoang thông qua giao thức HTTP không mã hóa và chạy một phiên bản Chrome lỗi thời, kém an toàn.

Niels Teusink thuộc Eye Security cho biết trình cập nhật này có thể bị lợi dụng để cài đặt và chạy bất kỳ loại phần mềm nào với toàn quyền hệ thống. Điều này giúp kẻ xấu dễ dàng tạo ra một mạng botnet chỉ bằng cách chiếm quyền kiểm soát một trong các tên miền, sử dụng một cuộc tấn công kẻ đứng giữa để nhắm mục tiêu vào các thiết bị cụ thể, hoặc thực hiện việc giám sát bằng cách nhận diện các cỗ máy đang chạy phần mềm đó.

Giải pháp của họ là đăng ký một trong các tên miền và sử dụng nó để gửi bản cập nhật của riêng họ, ra lệnh cho trình cập nhật tự vô hiệu hóa chính nó. Mặc dù vấp phải một số quan ngại về đạo đức liên quan đến cách khắc phục này, các nhà nghiên cứu cho biết lựa chọn duy nhất của họ lúc đó là không làm gì cả, đồng thời chỉ ra rằng tiến trình cập nhật vốn dĩ chẳng thực hiện tính năng hữu ích nào mà chỉ tạo ra rủi ro cho người dùng.

Eye Security cho biết trên các thiết bị Windows, bản cập nhật của họ đơn giản là dừng và vô hiệu hóa dịch vụ thông qua Trình quản lý điều khiển dịch vụ mà không xóa bất kỳ tệp tin nào hay thứ gì khác. Trên macOS, nó sử dụng một tập lệnh shell để thực thi lệnh chặn tiến trình cập nhật khởi động. Họ không đề cập đến phần mềm trên các thiết bị Android, nơi việc cài đặt bản cập nhật vẫn sẽ yêu cầu người dùng phải thực hiện thao tác tương tác thực tế trước.

They had to tweak their update after it was uploaded to VirusTotal, causing security programs to flag it as malware and block it while leaving the vulnerable updater running. It’s unclear exactly how many devices were at risk, but Eye Security says it sent out over 2 million update downloads by March, when they stopped sending the update and transferred the domains they used to the Shadowserver Foundation, a web security non-profit.